A Microsoft publicou recentemente uma correção temporária para um problema de injeção de script no MHTML. O problema afeta praticamente todas as versões do Windows, destacando do XP para cima, independente da versão do Internet Explorer.
O MHTML (MIME Encapsulation of Aggregate HTML) permite encapsular conteúdo HTML numa estrutura MIME. Essa estrutura, chamada Multipurpose Internet Mail Extensions, permite armazenar um arquivo binário qualquer na forma de texto puro para que possa ser transportado em algumas situações – como mensagens de e-mail. O Windows inclui um “handler” para lidar com o protocolo mhtml:, que permite abrir um conteúdo “empacotado” em MHTML. O problema é que esse conteúdo pode conter scripts que serão executados pelo cliente.
A saída encontrada de imediato foi desativar o protocolo no Windows, restringindo o nível de acesso do MHTML em todas as zonas de configuração da rede/internet. O link da correção é na forma de um “Fix it”, um programinha automatizado.
Mais detalhes estão no blog na TechNet. O artigo ainda dá dicas para verificar se seu sistema está vulnerável ou não, criando um script encapsulado num arquivo que o MHTML pode abrir.
Aparentemente a falha não foi tão explorada, pois o usuário deveria clicar num link mhtml:https://site/arquivo… Mas enquanto não vem uma correção mais bonita, vale a pena se proteger.
